KB5020276—Netjoin: Wijzigingen in het beveiligen van domeindeelname

Overzicht

Windows-updates die zijn uitgebracht op en na 11 oktober 2022, bevatten aanvullende beveiligingen die zijn geïntroduceerd door CVE-2022-38042. Met deze beveiligingen wordt opzettelijk voorkomen dat bij domeindeelnamebewerkingen een bestaand computeraccount in het doeldomein opnieuw wordt gebruikt, tenzij:

• De gebruiker die de bewerking probeert uit te voeren, is de maker van het bestaande account, of
• De computer is gemaakt door een lid van de domeinbeheerder, of

• De eigenaar van het computeraccount dat wordt hergebruikt, is lid van de sectie 'Domeincontroller: hergebruik van computeraccounts tijdens domeindeelname'. Instelling voor groepsbeleid. Deze instelling vereist de installatie van Windows-updates die zijn uitgebracht op of na 14 maart 2023 op ALLE lidcomputers en domeincontrollers.

Updates die zijn uitgebracht op en na 14 maart 2023 en 12 september 2023, bieden extra opties voor betrokken klanten met Windows Server 2012 R2 en hoger en alle ondersteunde clients. Zie de secties Gedrag van 11 oktober 2022 en Actie ondernemen voor meer informatie.

Gedrag vóór 11 oktober. 2022

Voordat u de cumulatieve updates van 11 oktober 2022 of later installeert, vraagt de clientcomputer Active Directory op voor een bestaand account met dezelfde naam. Deze query vindt plaats tijdens het koppelen van domeinen en het inrichten van computeraccounts. Als een dergelijk account bestaat, zal de client automatisch proberen het opnieuw te gebruiken.

Dit zijn twee scenario's voor domeindeelname met respectievelijk standaardgedrag en vlaggen:

• Domeindeelname (NetJoinDomain)

  • Standaardinstelling voor hergebruik van accounts (tenzij NETSETUP_NO_ACCT_REUSE vlag is opgegeven)

• Account provisioning (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • De standaardinstelling is GEEN hergebruik (tenzij NETSETUP_PROVISION_REUSE_ACCOUNT is opgegeven).

11 oktober 2022 gedrag

Nadat u de cumulatieve Windows-updates van 11 oktober 2022 of later op een clientcomputer hebt geïnstalleerd, voert de client tijdens domeindeelname aanvullende beveiligingscontroles uit voordat wordt geprobeerd een bestaand computeraccount opnieuw te gebruiken. Algoritme:

1. Poging tot hergebruik van account is toegestaan als de gebruiker die de bewerking probeert uit te voeren, de maker is van het bestaande account.
2. Poging tot hergebruik van het account is toegestaan als het account is gemaakt door een lid van de domeinbeheerders.

Deze aanvullende beveiligingscontroles worden uitgevoerd voordat u probeert verbinding te maken met de computer. Als de controles succesvol zijn, is de rest van de joinbewerking net als voorheen onderhevig aan Active Directory-machtigingen.

Deze wijziging is niet van invloed op nieuwe accounts.

14 maart 2023 gedrag

In de Windows-updates die zijn uitgebracht op of na 14 maart 2023, hebben we enkele wijzigingen aangebracht in de beveiligingsbeveiliging. Deze wijzigingen omvatten alle wijzigingen die we op 11 oktober 2022 hebben aangebracht.

Ten eerste hebben we het bereik uitgebreid van groepen die zijn vrijgesteld van deze hardening. Naast domeinbeheerders zijn nu ook ondernemingsbeheerders en ingebouwde beheerdersgroepen vrijgesteld van de eigendomscontrole.

Ten tweede hebben we een nieuwe instelling voor het groepsbeleid geïmplementeerd. Beheerders kunnen hiermee een acceptatielijst met vertrouwde computeraccounteigenaren opgeven. Het computeraccount zal de beveiligingscontrole omzeilen als een van de volgende situaties van toepassing is:

Het account is het eigendom van een gebruiker die is opgegeven als een vertrouwde eigenaar in het groepsbeleid 'Domeincontroller: hergebruik van computeraccounts tijdens domeindeelname'.

Het account is het eigendom van een gebruiker die lid is van een groep die is opgegeven als een vertrouwde eigenaar in het groepsbeleid 'Domeincontroller: hergebruik van computeraccounts tijdens domeindeelname'.

Als u dit nieuwe groepsbeleid wilt gebruiken, moeten de domeincontroller en de lidcomputer consequent de update van 14 maart 2023 of hoger hebben geïnstalleerd. Sommigen hebben mogelijk bepaalde accounts die u gebruikt om computeraccounts automatisch te maken. Als deze accounts veilig zijn voor misbruik en u erop vertrouwt dat ze computeraccounts maken, kunt u ze vrijstellen. Je bent nog steeds beschermd tegen de oorspronkelijke kwetsbaarheid die is beperkt door de Windows-updates van 11 oktober 2022.

12 september 2023 gedrag

In de Windows-updates die zijn uitgebracht op of na 12 september 2023, hebben we enkele aanvullende wijzigingen aangebracht in de beveiligingsbeveiliging. Deze wijzigingen omvatten alle wijzigingen die we hebben aangebracht in 11 oktober 2022 en de wijzigingen van 14 maart 2023.

Er is een probleem opgelost waarbij domeindeelname via smartcardverificatie is mislukt, ongeacht de beleidsinstelling. Om dit probleem op te lossen, hebben we de resterende beveiligingscontroles teruggeplaatst naar de domeincontroller. Daarom voeren clientmachines na de beveiligingsupdate van september 2023 geverifieerde SAMRPC-aanroepen uit naar de domeincontroller om beveiligingsvalidatiecontroles uit te voeren met betrekking tot het hergebruik van computeraccounts.

Dit kan er echter toe leiden dat domeindeelname mislukt in omgevingen waar het volgende beleid is ingesteld: Netwerktoegang: Beperken van clients die externe gesprekken mogen voeren met SAM.  Zie de sectie 'Bekende problemen' voor informatie over hoe u dit probleem kunt oplossen.

Gedrag van 13 augustus 2024

In de Windows-updates die zijn uitgebracht op of na 13 augustus 2024, hebben we alle bekende compatibiliteitsproblemen met het beleid op de toelatingslijst opgelost. We hebben ook de ondersteuning voor de NetJoinLegacyAccountReuse-sleutel verwijderd. Het hardingsgedrag blijft bestaan, ongeacht de toetsinstelling. De juiste methoden voor het toevoegen van vrijstellingen worden vermeld in de sectie Actie ondernemen hieronder.

Actie ondernemen

Configureer het nieuwe beleid voor de acceptatielijst met behulp van het groepsbeleid voor een domeincontroller en verwijder eventuele tijdelijke oplossingen aan de clientzijde. Doe dan het volgende:

1. U moet de updates van 12 september 2023 of later installeren op alle lidcomputers en domeincontrollers.

2. Configureer de instellingen in de onderstaande stappen in een nieuw of bestaand groepsbeleid dat van toepassing is op alle domeincontrollers.

3. Dubbelklik onder Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options op Domeincontroller: hergebruik van computeraccounts tijdens domeindeelname toestaan.

4. Selecteer Deze beleidsinstelling definiëren en <Beveiliging bewerken.>

5. Gebruik de objectkiezer om gebruikers of groepen van makers en eigenaren van vertrouwde computeraccounts toe te voegen aan de machtiging Toestaan . (We raden u ten zeerste aan groepen te gebruiken voor machtigingen.) Voeg niet het gebruikersaccount toe waarmee de domeinkoppeling wordt uitgevoerd.

   Waarschuwing

   Beperk het lidmaatschap van het beleid tot vertrouwde gebruikers en serviceaccounts. Voeg geen geverifieerde gebruikers, iedereen of andere grote groepen toe aan dit beleid. Voeg in plaats daarvan specifieke vertrouwde gebruikers en serviceaccounts toe aan groepen en voeg die groepen toe aan het beleid.

6. Wacht op het vernieuwingsinterval van het groepsbeleid of voer gpupdate /force uit op alle domeincontrollers.

7. Controleer of de registersleutel HKLM\System\CCS\Control\SAM – 'ComputerAccountReuseAllowList' is gevuld met de gewenste SDDL. Bewerk het register niet handmatig.

8. Probeer lid te worden van een computer waarop de updates van 12 september 2023 of hoger zijn geïnstalleerd. Zorg ervoor dat een van de accounts die worden vermeld in het beleid eigenaar is van het computeraccount. Als de domeindeelname mislukt, controleert u de \netsetup.log c:\windows\debug.

Als u alsnog een alternatieve oplossing nodig hebt, bekijk dan de werkstromen voor het inrichten van computeraccounts en controleer of er wijzigingen nodig zijn.

1. Voer de joinbewerking uit met hetzelfde account dat het computeraccount in het doeldomein heeft gemaakt.
2. Als het bestaande account verouderd (ongebruikt) is, verwijdert u het voordat u opnieuw probeert lid te worden van het domein.
3. Wijzig de naam van de computer en neem deel met een ander account dat nog niet bestaat.
4. Als het bestaande account eigendom is van een vertrouwde beveiligingsprincipal en een beheerder het account opnieuw wil gebruiken, volgt u de richtlijnen in de sectie Actie ondernemen om de Windows-updates van september 2023 of later te installeren en een acceptatielijst te configureren.

Geen oplossingen

• Voeg geen serviceaccounts of inrichtingsaccounts toe aan de beveiligingsgroep van domeinbeheerders.
• Bewerk de security descriptor voor computeraccounts niet handmatig om het eigendom van dergelijke accounts opnieuw te definiëren, tenzij het vorige eigenaarsaccount is verwijderd. Hoewel het bewerken van de eigenaar ervoor zorgt dat de nieuwe controles slagen, behoudt het computeraccount mogelijk dezelfde potentieel riskante, ongewenste machtigingen voor de oorspronkelijke eigenaar, tenzij deze expliciet worden gecontroleerd en verwijderd.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Bekende problemen